htmlspecialchars() ile güvenlik

htmlspecialchars() ile kullanıcı girdisinden XSS açığını kapatmayı öğrenirsin.

XSS ve htmlspecialchars()

Kullanıcıdan gelen veriyi doğrudan ekrana yazdırmak XSS (Cross-Site Scripting) açığı yaratır. Kötü niyetli biri form alanına <script>alert('kötü')</script> yazarsa, bu doğrudan çalıştırılır. htmlspecialchars() fonksiyonu <, >, &, " ve ' karakterlerini HTML varlıklarına çevirir; böylece tarayıcı metin olarak gösterir, kod olarak çalıştırmaz.

Örnek: echo htmlspecialchars($_POST['name']);. <script> girdisi <script> olarak çıkar; zararsızdır.

ENT_QUOTES bayrağı

htmlspecialchars() varsayılan olarak çift tırnağı " yapar ama tek tırnağa dokunmaz. Tek tırnakları da dönüştürmek için ENT_QUOTES bayrağını verirsin: htmlspecialchars($text, ENT_QUOTES). Böylece hem " hem ' güvenli olur.

Bu özellikle öznitelik içine yazdığın değerler için önemlidir: value="<?php echo htmlspecialchars($name, ENT_QUOTES); ?>". Aksi halde ' onclick='alert(1) gibi bir girdi öznitelikten kaçabilir.

Uygulama htmlspecialchars ile XSS'i engelle

$_POST['comment'] = "<script>alert(1)</script>"; ata. Sonra echo htmlspecialchars($_POST['comment'], ENT_QUOTES); yaz.

Örnek çözümü göster

Önce $_POST['comment'] = "<script>alert(1)</script>"; ata. Sonra echo htmlspecialchars($_POST['comment'], ENT_QUOTES); yaz.
Örnek çözüm:
<?php
// htmlspecialchars ile XSS'i engelle
$_POST['comment'] = "<script>alert(1)</script>";
echo htmlspecialchars($_POST['comment'], ENT_QUOTES);

Kendini test et

htmlspecialchars() ne yapar?
- Form verisini siler
- HTML etiketlerini yok eder
- Formu doğrular
- Özel karakterleri HTML varlıklarına çevirir
Cevabı göster

Özel karakterleri HTML varlıklarına çevirir — Doğru. htmlspecialchars <, >, &, ", ' karakterlerini güvenli HTML varlıklarına çevirir.
Karakteri HTML varlığına eşle

<

<
>

>
&

&
"

"

htmlspecialchars ile kaçırma

echo ____($_POST['comment']);

Cevabı göster

echo htmlspecialchars($_POST['comment']);

Sıradaki ders: Form doğrulama temelleri

Deneyiminizi Geliştiriyoruz

Çerez Tercihleri

Kesinlikle Gerekli Çerezler

Analitik Çerezler